Privacidad de Flit: compruébalo tú mismo

Afirmación: tu audio y tu texto nunca salen de tu Mac. Jamás.

Flit graba tu voz, la transcribe y la pule por completo en el dispositivo:

No hay cuenta, ni telemetría, ni analíticas, ni herramienta de informes de fallos, y ningún servidor ve nunca tu voz ni tu texto. El diseño limita toda la actividad de red a tres puntos bien definidos, que se enumeran por completo a continuación.

Las únicas conexiones de red que hace Flit

1. Descargas de modelos que inicias tú expresamente: al hacer clic en Descargar en Ajustes, se obtienen los archivos del modelo de huggingface.co. Los recursos de voz y de formato de Apple los descarga el propio macOS.
2. Activación de la licencia, una vez por Mac: cuando pegas tu clave de licencia, Flit envía a apps.fore.studio la clave, un hash SHA-256 del UUID de plataforma de este Mac (nunca el UUID en sí), el nombre del Mac y las versiones de macOS y de Flit, y recibe un archivo de licencia firmado que luego verifica sin conexión en cada arranque. Mientras la licencia está activa, vuelve a confirmar la clave y el hash como máximo una vez cada 7 días y descarga una lista firmada de licencias revocadas. Nada de lo que dictas forma parte de esto, y la prueba no hace ninguna conexión de red.
3. La búsqueda de actualizaciones: en el primer arranque, Sparkle pregunta si Flit puede buscar actualizaciones. Si dices que sí, descarga periódicamente statics.fore.studio/flit/updates/appcast.xml y envía la versión instalada y la versión de macOS para poder elegir la compilación correcta. Si dices que no, nunca lo comprueba, salvo que elijas tú mismo Buscar actualizaciones… en el menú.

Esa es la lista completa.

Modo de desarrollador

Cuando dictas en un editor de código o un terminal, Flit lee la ruta del documento de la ventana activa mediante la API Accessibility de macOS (el mismo permiso que ya usa para pegar), encuentra la raíz del proyecto e indexa los nombres de archivos y carpetas del proyecto para que los identificadores que dices se escriban bien. El índice solo existe en la memoria: nunca se escribe en el disco, nunca se incluye en el historial y nunca se envía a ningún sitio. No se lee el contenido de los archivos. Puedes desactivarlo en Ajustes → Formato.

Formato según el contexto

Desactivado por defecto. Cuando lo activas (Ajustes → Formato), Flit lee, mediante la API Accessibility de macOS, el campo de texto activo de la app en la que dictas y el texto visible en su ventana. Es el mismo permiso que ya usa para pegar. Así, el formato puede escribir los nombres como los escribe la conversación y continuar con naturalidad una frase sin terminar. Esta captura se queda en la memoria durante un único dictado: solo alimenta el modelo de formato local, nunca se escribe en el disco ni en el historial y nunca se envía a ningún sitio. En los campos de contraseña o seguros, la captura se cancela por completo.

Editar la selección con la voz

Esta función también lee la pantalla, así que va en la misma lista. Desactivada por defecto. Cuando activas “Editar la selección con la voz” (Ajustes → Formato), un dictado que está sobre una selección y además suena a instrucción (“make this shorter”) envía ese texto seleccionado al modelo de formato local para que se pueda reescribir en su sitio. La selección se lee mediante la API Accessibility, se usa para esa única reescritura y se descarta. Nunca se escribe en el disco ni en el historial y nunca sale del Mac. Si no hay selección, no se lee nada, y un dictado que no parece una instrucción se inserta como texto normal. Puedes desactivarla en Ajustes → Formato.

Las dos están desactivadas al instalar Flit, así que, de serie, no lee ningún texto de tu pantalla. Lo único que mira en cualquier caso es el rol del elemento activo, lo justo para distinguir un cuadro de búsqueda de un documento, de modo que una búsqueda dictada llegue como términos de búsqueda y no como una frase. Esa comprobación no lee ningún texto, y no hay ningún ajuste que desactivar porque no hay nada que rechazar.

Aprender de tus correcciones

Unos segundos después de pegar, y solo si sigues en la misma app, Flit lee el campo activo una vez mediante la API Accessibility y lo compara con lo que insertó. La comparación se hace en la memoria y el texto del campo se descarta de inmediato. Lo que se guarda, en local: correcciones de palabras que se repiten (la grafía escrita y la corregida) y contadores de estilo por app (por ejemplo, “quitó el punto final en WhatsApp, 3 veces”: un ID de paquete, una categoría y un número; nunca tu texto). Ambas cosas solo llegan a ser sugerencias en Ajustes, con los botones Añadir/Ignorar. Flit nunca cambia tu diccionario ni tus estilos por app por su cuenta. Los campos de contraseña o seguros nunca se pueden leer de esta forma.

Compruébalo con un monitor de red

Con Little Snitch, LuLu o Proxyman:

1. Instala primero tus modelos (Ajustes → Modelos / Formato → Descargar).
2. Inicia el monitor de red y filtra por el proceso Flit.
3. Dicta lo que quieras, donde quieras, todo lo que quieras.
4. Conexiones observadas mientras dictas: ninguna. A lo largo de un día entero verás como mucho las tres cosas de arriba: las descargas en las que hiciste clic, una confirmación de licencia a apps.fore.studio (como mucho una vez por semana, nunca durante un dictado) y la búsqueda de actualizaciones a statics.fore.studio si la permitiste.

Flit.app también se puede inspeccionar de forma estática: el binario no enlaza ningún SDK de analíticas (otool -L Flit.app/Contents/MacOS/Flit muestra los frameworks del sistema de Apple más Sparkle, el actualizador de código abierto).

Datos locales que controlas tú

• Historial de transcripciones: opcional, con un límite, y lo borras todo en Ajustes → Historial.
• Historial de audio: desactivado por defecto; solo se activa si lo eliges expresamente, con reglas de borrado automático.
• Higiene del portapapeles: el texto dictado se marca como transitorio (org.nspasteboard.TransientType), para que los gestores de portapapeles no lo archiven.

¿Tienes preguntas o has encontrado un fallo en esta afirmación? Abre un issue. Tratamos los avisos de privacidad como P0.